XLab a publié le 5 novembre 2026 une analyse de CWPdoor, une porte dérobée intégrée à une version altérée de cwpsrv, le serveur web du panneau d’administration Control Web Panel. Le programme attend des requêtes particulières avant d’exécuter des commandes. Pour un prestataire qui héberge des sites de TPE, une interface CWP qui fonctionne normalement ne suffit donc pas à établir l’intégrité du serveur.
Un faux script de mise à jour
Les chercheurs décrivent un installateur capturé le 29 juin, qui remplace le binaire cwpsrv. Il prend en charge les versions 1.15.10 et 1.24.0. The Hacker News insiste sur un point déterminant : son installation nécessite les droits root, dont le mode d’obtention initial reste inconnu. Cette observation ne démontre pas une compromission du canal officiel de mise à jour CWP.
Des traces locales volontairement réduites
CWPdoor traite les commandes reçues dans des requêtes signées puis empêche leur inscription dans le journal d’accès du serveur. Le fonctionnement ordinaire du panneau continue. Pour l’administrateur, l’absence d’erreur visible et de ligne suspecte dans ce journal ne prouve donc pas l’absence de commandes malveillantes. BleepingComputer présente les indices de recherche proposés par XLab, notamment les processus auxiliaires, le socket local et les chaînes caractéristiques du binaire.
Des panneaux exposés, pas autant de victimes
Le chiffre de plus de 340 000 instances décrit la visibilité de panneaux CWP sur internet dans les mesures de XLab. Il ne mesure pas les infections. La présence de CWPdoor et d’Ebury dans une même archive de fichiers ne suffit pas non plus à établir un auteur commun. Une entreprise utilisant un hébergeur CWP doit demander une vérification de son propre environnement, sans conclure à une infection à partir d’un chiffre global.
Vérifier puis reconstruire si nécessaire
Demandez au responsable de l’hébergement de comparer cwpsrv avec une copie de confiance et d’examiner les indicateurs publiés par XLab. En cas de confirmation, conservez les éléments utiles à l’enquête et préparez une remise en état depuis des sources vérifiées. Le remplacement du seul binaire ne démontre pas que les droits root précédemment obtenus ont disparu. Renouvelez ensuite les identifiants du panneau et les autres secrets exposés selon les conclusions de l’analyse, depuis un poste vérifié.
Le lien avec Soclyde
Une agence web gérant plusieurs panneaux CWP doit retrouver les bons accès clients sans réutiliser un secret commun. Soclyde conserve ces identifiants dans un coffre chiffré sur les appareils et permet leur partage en Premium. Il ne vérifie pas le binaire cwpsrv et ne nettoie pas un serveur infecté. Les changements de mots de passe restent à effectuer auprès de chaque hébergement après la remise en état.
À retenir
CWPdoor concerne l’intégrité d’un serveur d’administration, pas seulement un mot de passe trop faible. Faites vérifier l’hôte avant d’y remettre des secrets neufs. Pour préparer les opérations de remplacement, consultez notre guide mot de passe piraté : que faire.
